08 datadiefstal covidsystemen ggd nog

Aan: de colleges van burgemeester en wethouders die deelnemen in GGD Noord- en Oost-Gelderland Kenmerk: Datum: Behandeld door: E-mail: Telefoonnummer: Onderwerp:

per e-mail verzonden -

ThN/21-dir 007 23-2-2021 T. Nijland t.nijland@ggdnog.nl 088 443 3270 informatie datadiefstal covid-systemen

Geachte colleges, Hierbij ontvangt u een memo over de datadiefstal uit de landelijke covid-19-systemen van de GGD’en. Dit memo is op 18 februari 2021 besproken met de leden van het algemeen bestuur van GGD Noord- en Oost-Gelderland. In de AB-vergadering is afgesproken het memo aan de colleges van burgemeester en wethouders te zenden. U kunt de informatie hieruit gebruiken om uw gemeenteraad te informeren. Namens het dagelijks bestuur verzoek ik u om raadsvragen in overleg met de GGD te beantwoorden. Wij zullen op de website van GGD NOG ook actuele informatie over deze kwestie plaatsen. Daarbij sluiten wij aan bij de informatie op de website van GGD GHOR Nederland en zullen daar ook naar verwijzen. De besturen van de Veiligheidsregio NOG en GGD NOG blijf ik informeren over belangrijke ontwikkelingen over de datakwestie.

Met vriendelijke groet,

drs. J.J. Baardman, directeur publieke gezondheid

Postbus 3, 7200 AA Zutphen

088 – 443 30 00

ggd@ggdnog.nl

www.ggdnog.nl

GGD Noord- en Oost-Gelderland is partner in het Centrum voor Jeugd en Gezin

MEMO Onderwerp

Datadiefstal COVID-19-systemen Aan: de leden van het algemeen bestuur GGD NOG Van: directeur publieke gezondheid Datum: 18 februari 2021

1. Inleiding Eind januari 2021 kwam de diefstal aan het licht van persoonsgegevens uit de landelijke covidsystemen voor testen en vaccineren (CoronIT) en voor bron- en contactonderzoek (HPZone Lite). Onlangs zijn ook twijfels gerezen over de dataveiligheid van de website coronatest.nl. Deze ontwikkelingen hebben gevolgen voor de beeldvorming over en het vertrouwen in de aanpak van corona en de GGD. Ook zijn er financiële risico’s vanwege mogelijke boetes van de Autoriteit Persoonsgegevens (AP) en mogelijke aansprakelijkheid. Door deze diefstal zijn we op harde wijze geconfronteerd met kwetsbaarheden in onze ICT-systemen en de vergaande gevolgen hiervan. De impact van risico’s die veelal eerder waren gesignaleerd, vragen om een daadkrachtige en eenduidige aanpak. Ik heb u over de datadiefstal geïnformeerd in mijn brief van 29 januari 2021. De RACC-update van de Veiligheidsregio Noord- en Oost-Gelderland (VNOG) voor de gemeenten heeft er aandacht aan besteed. Ook heb ik op 3 februari 2021 het algemeen bestuur van de Veiligheidsregio NOG geïnformeerd, waarbij ook een aantal AB-leden GGD NOG aanwezig was als wethouder zorg. Hieronder geef ik de huidige stand van zaken op hoofdlijnen weer. Deze informatie kunt u ook gebruiken om de raad van uw gemeenten te informeren. Namens het dagelijks bestuur verzoek ik u om raadsvragen in overleg met de GGD te beantwoorden. 2.

Verzoeken burgers De GGD’en en GGD GHOR Nederland besteden uiteraard aandacht aan de (mogelijk) gedupeerden. Veel informatie is te vinden op de website van GGD GHOR Nederland:  https://ggdghor.nl/thema/vragen-antwoorden-datadiefstal/  https://ggdghor.nl/actueel-bericht/informatie-over-verwijderen-persoonsgegevens-bij-deggden/ GGD GHOR Nederland onderhoudt contact met veel media, o.a. het tv-programma Kassa. Mensen kunnen bij een landelijk een telefoonnummer zeven dagen per week van 9.00 uur tot 21.00 uur terecht met hun vragen. De GGD zal mensen informeren, zodra duidelijk is welke informatie mogelijkerwijs gestolen zou zijn en wie dat betreft.

1

Inmiddels heeft GGD NOG ruim 150 e-mails met vragen van mensen of verzoeken om verwijdering van gegevens. GGD GHOR heeft richtlijnen en een stroomschema geleverd om de afhandeling door de 25 GGD’en zo veel mogelijk af te stemmen. GGD GHOR Nederland en de Functionarissen Gegevensbescherming van de GGD’en wisselen informatie uit en stemmen de afhandeling van de verzoeken af. GGD NOG zet de komende weken twee medewerkers in uit de covid-organisatie– met begeleiding en ondersteuning vanuit de GGD - om de verzoeken af te handelen. 3. Verantwoordelijkheden De 25 GGD’en en GGD GHOR NL zijn gezamenlijk verwerkingsverantwoordelijke voor de covidsystemen HPZone Lite en CoronIT. In de opgeschaalde situatie in de covid-aanpak is een verwevenheid van taken en verantwoordelijkheden ontstaat, wat de situatie ingewikkeld maakt. De Autoriteit Persoonsgegevens (AP) richt zich in zijn onderzoek tot nu toe op GGD GHOR NL. Het is mogelijk dat de AP ook individuele GGD ‘en aanspreekt op hun verantwoordelijkheden. Wij bereiden ons voor op de vraag wie verantwoordelijk is voor eventuele maatregelen en boetes en mogelijk – indien aangetoond - de schade die vanwege de datadiefstal is ontstaan. Gezien de specifieke juridische expertise die in deze casus wordt gevraagd, schakelen wij ook externe juristen in met expertise op het terrein van gezondheidsrecht en ICT-recht.

NOG-gemeenten hebben ook ondersteuning aangeboden aan GGD NOG, bijvoorbeeld ook op het gebied van, vanwege mogelijke Wob-verzoeken, de Wet openbaarheid bestuur. 4. Maatregelen Na het bekend worden van de datadiefstal hebben GGD GHOR Nederland en de 25 GGD’en – mede op verzoek van de minister van VWS maatregelen getroffen. Dit omvat o.a. het beperken van toegang en autorisaties, beperken van functionaliteiten, monitoring, aanscherping van processen voor VOG en geheimhouding, doorlichten van de systemen en betere ondersteuning bij de implementatie van de maatregelen. Voor de bestrijding van de corona-epidemie hebben GGD’en het al bestaande systeem HPZone ingezet, met de nodige aanpassingen. Het systeem was voor het gebruik in zo’n grote omvang niet geschikt, maar een alternatief was helaas niet snel. De genomen maatregelen om persoonsgegevens veilig te kunnen verwerken in HPZone Lite hebben grote impact op de werkprocessen en vragen omslachtige aanpassingen. 5. Nieuwe voorziening als vervanging van HPZone Lite Aanvullende externe analyses in opdracht van GGD GHOR Nederland hebben nog duidelijker gemaakt, dat er onaanvaardbare risico’s ontstaan, als wordt verder gewerkt met HPZone Lite. In zijn brief van 2 februari 2021, waarin hij de Tweede Kamer informeert, noemt de minister van VWS de vervanging van HPZone Lite door nieuwe voorzieningen.

Dit is een combinatie van applicaties:  GGD Contact (portaal voor born- en contactonderzoekers en een smartphone-app voor burger) voor uitvoering van Bron- en Contactonderzoek (BCO),  een voorziening voor data-analyse, en  een voorziening voor het inhalen van gegevens door het RIVM. De Minister van VWS treedt op als opdrachtgever voor het vervangingstraject. Op zijn verzoek coördineert GGD GHOR landelijk de vervanging.

6. Besluit en randvoorwaarden vervanging HPZone Lite Het RIVM, artsen infectieziekten en data-analisten hebben gewaarschuwd voor een te snelle invoering van dit nieuwe systeem. Ook vanuit GGD NOG is bepleit dat zorgvuldigheid voor snelheid

2

moet gaan. Belangrijk is dat de informatie beschikbaar blijft om zicht te houden op de ontwikkeling van de pandemie. Ook moeten nieuwe risico’s rondom gegevensbeveiliging worden voorkomen bij de invoering. De directeuren publieke gezondheid (DPG’en) en de leiding van de covid-programma-organisatie van GGD GHOR Nederland hebben op 12 februari 2021 uitgebreid gesproken over de ICT en de databeveiliging. De DPG-raad heeft het principebesluit genomen dat HPZone Lite wordt vervangen, maar pas dan als aan een aantal belangrijke voorwaarden is voldaan. Functionaliteit, continuïteit, dataverstrekking, clusteranalyse enz. moeten steeds zijn gewaarborgd. GGD NOG is gestart met de interne voorbereiding van de invoering van GGD Contact. Samen met de betrokken medewerkers blijven we alert om knelpunten en risico’s te signaleren. Van belang is de context waarin deze kwesties spelen. Op zowel landelijk als regionaal niveau zijn de GGD-organisaties zijn erg hard gegroeid. De ontwikkelingen en het beleid veranderen voortdurend, zodat we vaak snel en ad hoc moeten handelen. Deze crisis vraagt veel van de creativiteit, de flexibiliteit en het uithoudingsvermogen. Alle partijen hebben elkaar nodig, zodat ik verbinding en samenwerking voorop blijf stellen.

3